Le fabricant de Coldcard refuse de confirmer les pertes liées au piratage de 130 millions de dollars

Des pirates ont dérobé entre 1 596 et 1 816 bitcoins, soit une valeur comprise entre 100 et 130 millions de dollars, sur plus de 7 300 adresses liées aux portefeuilles matériels Coldcard, constituant la plus grande attaque de portefeuilles physiques de l'histoire des cryptomonnaies. L'attaque, qui a débuté le 30 juillet, a exploité une faille de firmware vieille de cinq ans qui affaiblissait l'aléa utilisé pour générer les phrases de récupération, permettant aux attaquants de forcer les clés privées sans jamais toucher à un appareil physique.crypto+2

Coinkite, entreprise basée à Toronto et fabricant de Coldcard, a refusé de confirmer des chiffres de pertes spécifiques dans une déclaration à Bloomberg mercredi. "Nous ne sommes pas en mesure de confirmer indépendamment les pertes totales ou de valider les chiffres spécifiques rapportés par des tiers", a déclaré la société.bloomberg

Comment une ligne de code a tout fait basculer

La vulnérabilité remonte à une mise à jour du firmware de mars 2021 qui a introduit une erreur de configuration de compilation. Une macro nommée MICROPY_HW_ENABLE_RNG, réglée sur zéro, a provoqué le contournement du générateur de nombres aléatoires matériel dédié de l'appareil par une bibliothèque cryptographique de support, forçant le système à utiliser un substitut logiciel prévisible. Résultat : les phrases de récupération sur les appareils Mk3 ont été générées avec environ 40 bits d'entropie au lieu des 128 bits prévus, réduisant la sécurité d'un verrou virtuellement inviolable à un système qu'un ordinateur pourrait forcer en quelques minutes.memeburn+1

L'équipe de sécurité bitcoin de Block ↘ 3.68% a publié l'analyse technique complète après avoir retracé la faille avec des chercheurs indépendants anonymes. Galaxy Research a suivi quatre vagues d'attaques : la première, le 30 juillet, a siphonné 1 082 BTC de 1 196 adresses en 41 minutes ; les vagues suivantes jusqu'au 4 août ont porté les pertes confirmées à 1 596 BTC, une quatrième vague suspectée pouvant porter le total à 2 055 BTC.crypto+2

Les victimes n'ont rien pu faire

L'ironie cruelle de cette brèche est qu'elle a frappé les détenteurs de bitcoin les plus soucieux de leur sécurité. "Le plus dur, c'est peut-être que j'ai tout fait correctement", a écrit l'entrepreneur canadien Jonathan Goodman sur X après avoir perdu 18,25 BTC, d'une valeur d'environ 1,6 million de dollars canadiens, stockés sur un Coldcard dans un coffre-fort. Tim Lamb, un marketeur de 38 ans dont la phrase de récupération était gravée sur une plaque métallique cachée dans un faux dictionnaire, a perdu deux bitcoins d'une valeur d'environ 130 000 dollars pendant ses vacances.news.bloomberglaw+1

Le PDG de Coinkite, Rodolfo Novak, s'est excusé sur X le 31 juillet : "Nous savons qu'une excuse ne rend pas les fonds de qui que ce soit. Nous savons que nous devrons regagner la confiance de nos utilisateurs." L'entreprise a publié un firmware d'urgence, détruit les stocks vulnérables restants et interrompu les expéditions, tout en avertissant que le correctif ne répare pas les phrases de récupération déjà générées sur un firmware compromis.crypto+2

Les retombées relancent le débat sur l'auto-garde

La brèche a inversé une tendance de deux ans de retrait des bitcoins des plateformes d'échange. CryptoQuant a rapporté que les transferts inférieurs à 1 BTC ont atteint 39 600 BTC le 31 juillet, proche des niveaux de panique observés lors de l'effondrement de FTX en 2022. Cantor Fitzgerald a indiqué à ses clients que le piratage pourrait orienter la demande vers des prestataires de garde gérée et des ETF bitcoin au comptant, tels que l'iShares Bitcoin ↘ 0.29% Trust de BlackRock ↘ 0.54%, citant Coinbase ↘ 1.46% et Robinhood ↘ 1.25% parmi les bénéficiaires potentiels.thestreet+1

Environ 90 % des fonds volés restent immobiles sur des adresses contrôlées par les attaquants, bien que des analystes aient identifié un acteur commençant à faire transiter environ 64 BTC via le mixeur CoinJoin de Wasabi Wallet. Galaxy Research a partagé environ 600 adresses suspectes avec les forces de l'ordre fédérales américaines et les plateformes d'échange de cryptomonnaies.coinpaper+2